Archives de catégorie : Chiffrement

Chiffrement, Entreprise, Fuite de données, Sauvegarde

Un centre hospitalier mit en demeure par la CNIL

Le 25 septembre dernier, la Présidente de la CNIL a lancé une mise en demeure à l’encontre du Centre hospitalier de Saint-Malo. Tout a débuté en juin 2013, la Commission Informatique et liberté contrôlait le C.H. et découvrait qu’un prestataire avait pu accéder, avec le concours de l’établissement, aux dossiers médicaux de plusieurs centaines de patients. Un acte interdit par le code de la santé publique et la loi Informatique et Libertés. Les établissements de santé publics et privés doivent  procéder à l’analyse de leur activité.

Les actes pratiqués à l’occasion de la prise en charge des malades sont ainsi « codés » selon une nomenclature particulière, de sorte qu’à chaque acte possède son code de remboursement par l’assurance maladie. « Afin d’analyser leur activité et de détecter d’éventuelles anomalies de codage, certains établissements ont recours à l’expertise de sociétés extérieures pour procéder à la vérification et à la correction de ces opérations« . Une aide qui permet des remboursements rapides.

Sauf que les entreprises de santé ont oublié qu’en application des dispositions prévues au chapitre X de la loi Informatique et Libertés, les traitements de données à caractère personnel à des fins d’évaluation ou d’analyse des activités de soins et de prévention sont soumis à l’autorisation de la CNIL. De tels actes doivent s’opérer dans le respect du secret médical et des droits des malades. La CNIL veille à ce que ces traitements ne portent pas sur les données nominatives des malades.

Le contrôle au Centre hospitalier de Saint-Malo a permis à la CNIL de relever que le prestataire mandaté par l’hôpital a pu accéder, avec le concours de l’établissement, aux dossiers médicaux de 950 patients (informatisés ou en version papier). La mise en demeure du Centre hospitalier de Saint-Malo indique que l’hôpital doit veiller à ce que les dossiers des malades ne puissent pas être accessibles par des tiers, notamment par les prestataires choisis pour l’optimisation du codage.

La CNIL a décidé de rendre publique cette mise en demeure en raison de la sensibilité des données (à savoir des données de santé), de la gravité des manquements constatés, du nombre de personnes concernées et de la nécessité de prévenir le renouvellement de tels manquements. Pas de sanction prise, aucune suite ne sera donnée à cette procédure si le Centre hospitalier de Saint-Malo se conforme à la loi dans le délai imparti de 10 jours.

BYOD, Chiffrement, Cloud, Entreprise, Fuite de données

Les dirigeants d’entreprise ne s’inquiètent pas de la sécurité des données sur le Cloud

Peu préoccupés par la sécurité, les hauts dirigeants n’hésitent pas à contourner les règles d’utilisation des applications sur le Cloud. Si la sécurité des applications déployées dans le Cloud est une préoccupation importante pour les utilisateurs professionnels, la plupart d’entre eux n’hésitent pas à recourir au Cloud pour y stocker leurs données personnelles et professionnelles…sans se soucier des risques encourus. C’est l’une des principales conclusions de la récente étude publiée par SafeNet Labs, créateur de la solution SafeMonk, nouveau  service de chiffrement des espaces de stockage dans le Cloud « Dropbox » à destination des entreprises.

Lorsque SafeNet Labs – incubateur technologique lancé par SafeNet, Inc. (leader mondial de la protection de données) en faveur du développement de nouvelles technologies – a demandé à des centaines d’utilisateurs professionnels du monde entier s’ils étaient préoccupés par la sécurité des applications ou des données stockées dans le Cloud, 52 % ont répondu « Oui ». Cependant, 64 % des personnes interrogées ont déclaré utiliser fréquemment des applications basées sur le Cloud pour stocker leurs données personnelles et professionnelles. À la question « Est-ce que la sécurité de vos données et informations vous empêche de dormir ?», plus de la moitié ont répondu « Non, je dors comme un bébé. »

Un examen approfondi des résultats de cette étude montre que plus un poste est élevé dans la hiérarchie d’une entreprise, plus son titulaire est susceptible de recourir à des services de partage de fichiers comme Dropbox – et ce, en dépit des règles en vigueur dans l’entreprise. Ainsi, 33 % des dirigeants de niveau corporate (CEO, CFO, COO.) répondent par l’affirmative contre seulement 18 % pour les autres employés. La majorité des personnes interrogées (59 %) a déclaré qu’elle « ne serait pas surprise » d’apprendre que leur patron ou des dirigeants de leur entreprise utilisent des applications de partage de fichiers telles que Dropbox, malgré les règles s’opposant à cette pratique. En général, les dirigeants se sentent moins préoccupés par la sécurité dans le Cloud que leurs collaborateurs (respectivement 39 % et 54 % ont répondu « Oui »).

« Cette étude suggère que l’utilisation d’applications et le stockage de documents dans le Cloud continuent de proliférer, et que les sociétés devraient revoir les attitudes archaïques qui prévalent quant à l’utilisation de ces applications dans l’entreprise », a déclaré à datasecuritybreach.fr Tsion Gonen, Chief Strategy Officer, SafeNet, Inc. « Il ne fait pas de doute que les hauts dirigeants comprennent parfaitement les avantages que peut offrir l’utilisation d’applications dans le Cloud, et qu’ils devraient donner à leur entreprise les moyens d’en tirer parti en adoptant des outils et des pratiques de sécurité modernes ».

Le critère géographique entre également en ligne de compte en matière de sécurité des données dans le Cloud. Par exemple, l’utilisation d’applications basées sur le Cloud est nettement plus courante dans la région EMEA (Europe, Moyen-Orient et Afrique) qu’aux États-Unis et en Asie-Pacifique, de même que les niveaux d’inquiétude concernant la sécurité des données ou l’application de règles contre l’utilisation d’applications dans le Cloud. Toutefois, les personnes interrogées dans la zone EMEA sont davantage susceptibles d’ignorer lesdites règles. L’objet de leur préoccupation varie également en ce qui concerne la confidentialité de leurs données : les personnes interrogées aux États-Unis et dans la région EMEA déclarent se méfier des administrations, tandis qu’en Asie-Pacifique, Google est en ligne de mire. De plus, les personnes consultées en Asie-Pacifique constituent le groupe d’utilisateurs le plus inquiet s’agissant de leurs données et informations, craignant qu’elles soient exploitées à des fins malveillantes.

Au total, 52 % des personnes interrogées se disent inquiètes à l’idée que leurs applications bancaires et financières puissent être piratées. Les systèmes qu’elles utilisent le plus souvent sont Dropbox pour le stockage de fichiers (39 %) et les outils d’organisation personnels (25 %) ; par ailleurs, la messagerie électronique reste le principal outil utilisé pour partager des fichiers (68 %), selon l’enquête.

* SafeNet Labs a mené cette enquête en août 2013. SafeNet Labs est le créateur de SafeMonk, seule solution de chiffrement au monde contre les interceptions, spécialement conçue pour les utilisateurs du service de partage de fichiers Dropbox.

BYOD, Chiffrement, cryptage, Entreprise, Fuite de données, Propriété Industrielle, Sauvegarde

L’assurance contre les cyber-risques d’Allianz ne peut être qu’un « filet de sécurité » pour les entreprises

Le spécialiste de l’assurance Allianz Global Corporate & Specialty (AGCS) vient d’annoncer une nouvelle gamme de produits destinée à protéger les entreprises contre les problèmes qui peuvent découler d’une cyber-attaque grave ou d’une violation de données. Cette annonce fait suite à de récentes études qui indiquent que les cyber-attaques sont susceptibles de faire perdre plusieurs millions d’euros aux entreprises, dans un contexte où elles sont visées par des cyber-attaques de plus en plus sophistiquées.

Nigel Pearson, responsable de la  cybernétique chez Allianz, déclare à ce sujet que les entreprises ne réalisent pas l’ampleur du risque actuel alors que « de nombreux cybercriminels sont déjà en mesure de pirater les systèmes de petites et moyennes structures, et qu’ils peuvent ainsi trouver un moyen d’accéder aux systèmes des grandes entreprises avec lesquelles ces PME sont partenaires ».

Jean-Pierre Carlin, directeur commercial Europe du Sud chez LogRhythm, a fait les commentaires suivants : « La cybercriminalité et l’espionnage industriel sont devenus tellement banals que les récents incidents n’ont pas réussi à susciter l’intérêt requis des entreprises au moment où ils ont été rapportés. Le fait que la cybercriminalité ait coûté plus de 2,5 milliard d’euros en 2012 aurait dû servir de détonateur et envoyer un message fort et clair aux organisations. Malheureusement, vu les nombreuses attaques médiatisées auxquelles nous avons pu assister jusqu’ici cette année, le chemin est encore long et certains iront même jusqu’à dire que nous sommes déjà en train de perdre la bataille.« 

Ce qui est intéressant ici, cependant, c’est que les assureurs commencent à reconnaître à la fois la nouvelle source de revenus, et les nouvelles opportunités commerciales offertes par cette nouvelle catégorie de risque. Comme les attaques des cybercriminels deviennent plus sophistiqués, et que nous nous rendons compte du caractère inéluctabilité de la crise, il semble logique que les entreprises souhaitent bénéficier du plus haut niveau de protection.

Il est également judicieux pour les assureurs de commencer à reconnaître ce risque lié à l’ère du temps – comme ils l’avaient fait avec le détournement des avions et à la cendre volcanique. Pour les entreprises, les conséquences d’une faille grave pourraient être comparées aux dommages d’un incendie ou d’un cambriolage important – si ce n’est pire… Il ne serait donc pas surprenant de voir d’autres assureurs suivre l’exemple d’Allianz très prochainement.

« Cependant, cette nouvelle prise en compte du risque par l’assurance doit être considérée comme un filet de sécurité, et ne pas donner un prétexte aux entreprises pour entretenir un faux sentiment de sécurité. Il est impératif que les bonnes pratiques en matière de sécurité soient maintenues afin de préserver l’étanchéité des réseaux de l’entreprise. La protection des renseignements personnels devrait être primordiale, par exemple, plutôt que de simplement couvrir les frais d’une violation. Le contrôle de la protection devrait être la norme dans toutes les organisations car il offre une vue étendue de toutes les activités du réseau de façon à ce que si quelque chose de suspect est identifié, il peut être arrêté avant que le mal ne soit fait. Cette protection devrait être élargie aux fournisseurs tiers, comme les petites entreprises qui desservent les grandes, et qui sont de plus en plus perçues comme maillon faible par les pirates qui veulent contourner la sécurité des grandes multinationales« .

Chiffrement, cryptage, Entreprise, Espionnae

Les services secrets britanniques lancent un casse tête pour recruter

Un commentaire

Un processus de recrutement a été lancé par les grandes oreilles britanniques, le GHCQ. Le service d’écoute de Grande-Bretagne met au défi les candidats qui postulent à un poste chez 007. Mission du futur « espion », savoir cracker une série de codes énigmatiques mis en ligne sur un site officiel mis en ligne pour l’occasion, le « Can You Find It? ». Ce casse-tête se compose de 29 blocs de cinq lettres. Il faut déchiffrer la chose en cinq réponses. Les réponses conduisent alors le demandeur d’emploi dans une chasse au trésor locale.

L’année dernière, une campagne similaire avait été lancée. 170 bonnes réponses pour 3,2 millions de visiteurs. A noter que les espions de sa gracieuse majesté propose aussi des lots : des Raspberry PI et des Nexus Google 7 ! Bref, étonnant écho après les révélations d’espionnage de la Belgique par le GHCQ.

En février 2012, l’ANSSI, l’entité française dédiée à la sécurité des infrastructure informatique du pays lancé le même type de concours. L’Agence nationale de la sécurité des systèmes d’information avait caché un message dans l’un de ses logos. Une série de chiffres et de lettres, ainsi que le « AUTH:DE9C9C55:PCA » qui se situaient entre la map monde et le titre gravé dans le cercle bleu.

BYOD, Chiffrement, cryptage, Cybersécurité, Fuite de données

Les meilleures pratiques de sécurité pour les PME

Un commentaire

La cybercriminalité augmente dans des proportions alarmantes. Les petites et moyennes entreprises sont devenues des cibles privilégiées pour les cybercriminels. Le Wall Street Journal a récemment déclaré que les petites entreprises se remettent rarement d’une cyberattaque, mais quelques étapes très simples vous permettent cependant de protéger votre entreprise. DataSecurityBreach.fr vous proposait, il y a quelques jours, des méthodes à mettre en place lors de vos voyages, avec votre ordinateur portable.

Quels sont les mots de passe que les cybercriminels tentent d’abord d’utiliser ? Comment sensibilisez-vous vos employés à la politique de sécurité ? Vos employés ont-ils conscience des risques liés aux réseaux sociaux ? Check Point répond notamment à ces questions pour vous aider à améliorer votre sécurité dès aujourd’hui. Cet article décrit les 10 meilleures pratiques de sécurité que les petites entreprises doivent prendre en compte pour protéger leur réseau.

1. Les mots de passe communs sont de mauvais mots de passe

                    Les mots de passe sont votre première ligne de défense en matière de sécurité. Les cybercriminels qui tentent de s’introduire dans votre réseau débutent leur attaque en essayant les mots de passe les plus courants. Une étude de SplashData a déterminé les 25 mots de passe les plus communément utilisés dans les pays anglophones. Vous n’en croirez pas vos yeux… Assurez-vous que vos utilisateurs utilisent des mots de passe longs (plus de 8 caractères) et complexes (comprenant des minuscules, des majuscules, des chiffres et des caractères non alphanumériques).

1 password

2 123456

3 12345678

4 abc123

5 qwerty

6 monkey

7 letmein

8 dragon

9 111111

10 baseball

11 iloveyou

12 trustno1

13 1234567

14 sunshine

15 master

16 123123

17 welcome

18 shadow

19 ashley

20 football

21 jesus

22 michael

23 ninja

24 mustang

25 password1

2. Verrouillez chaque entrée

Il suffit d’une seule porte ouverte pour permettre à un cybercriminel de pénétrer dans votre réseau. Tout comme vous protégez votre domicile en verrouillant la porte d’entrée, la porte du jardin et les fenêtres, pensez à protéger votre réseau de la même façon. Réfléchissez à toutes les manières dont quelqu’un pourrait s’introduire dans votre réseau, puis assurez-vous que seuls les utilisateurs autorisés peuvent le faire.

·       Utilisez des mots de passe renforcés sur les ordinateurs portables, les smartphones, les tablettes et les points d’accès Wifi. ·       Utilisez un pare-feu intégrant un système de prévention des menaces pour protéger l’accès à votre réseau (tel que l’Appliance Check Point 600)

·       Protégez vos postes (ordinateurs portables et ordinateurs de bureau) par des logiciels antivirus, antispam et antiphishing ·       Prémunissez-vous contre l’une des méthodes d’attaque les plus courantes en demandant aux employés de ne pas connecter de périphérique USB inconnu

3. Segmentez votre réseau

Une manière de protéger votre réseau consiste à le découper en zones et protéger chaque zone de manière appropriée. Une zone peut être réservée uniquement au travail important, tandis qu’une autre peut être réservée aux invités, dans laquelle les clients peuvent surfer sur Internet sans être en mesure d’accéder à la zone de travail. Segmentez votre réseau et imposez des exigences de sécurité plus strictes là où c’est nécessaire.

·       Les serveurs web destinés au public ne devraient pas être autorisés à accéder à votre réseau interne ·       Vous pouvez autoriser l’accès invité, mais ne permettez pas à des invités d’accéder à votre réseau interne ·       Découpez éventuellement votre réseau selon les différentes fonctions de l’entreprise (service clientèle, finance, reste des employés)

4. Définissez et appliquez une politique de sécurité, et sensibilisez vos utilisateurs

Définissez une politique de sécurité (de nombreuses petites entreprises n’en ont pas) et utilisez votre système de prévention des menaces à sa pleine capacité. Prenez le temps de déterminer les applications que vous souhaitez autoriser sur votre réseau et celles que vous n’autorisez pas. Formez vos employés à l’utilisation conforme du réseau de l’entreprise. Officialisez la politique de sécurité, puis appliquez-la où vous le pouvez. Notez tous les manquements à la politique et toute utilisation excessive de la bande passante.

·       Mettez en place une politique d’utilisation appropriée pour les applications et les sites web autorisés/non autorisés ·       N’autorisez pas l’utilisation d’applications à risque, telles que Bit Torrent et autres applications de partage de fichiers en P2P, qui sont une des méthodes courantes de diffusion de logiciels malveillants

·       Bloquez TOR et tout autre anonymiseur dont l’objectif est de masquer les comportements et contourner la sécurité

·       Pensez aux réseaux sociaux durant la définition de la politique

5. Prenez conscience des risques liés aux réseaux sociaux

Les réseaux sociaux sont une mine d’or pour les cybercriminels qui cherchent à obtenir des informations sur des individus pour améliorer les chances de succès de leurs attaques. Les attaques de phishing, de spearphish et d’ingénierie sociale, débutent toutes par la collecte de données personnelles sur des individus.

·       Sensibilisez vos employés en les invitant à faire preuve de prudence lorsqu’ils communiquent sur les réseaux sociaux, même lorsqu’il s’agit de leur compte personnel

·       Faites savoir à vos utilisateurs que les cybercriminels constituent des profils sur les salariés pour augmenter la réussite de leurs attaques de phishing et d’ingénierie sociale

·       Formez vos employés sur les paramètres de confidentialité des réseaux sociaux afin de protéger leurs données personnelles

·       Les utilisateurs devraient faire attention aux informations qu’ils partagent car les cybercriminels pourraient deviner les réponses de sécurité (telles que le prénom des enfants) pour réinitialiser des mots de passe et ainsi réussir à accéder à leur compte

6. Chiffrez tout

Une seule fuite de données peut être dévastatrice pour votre entreprise et sa réputation. Protégez vos données en chiffrant celles qui sont confidentielles, et facilitez ce processus pour vos employés.

Intégrez le chiffrement à votre politique de sécurité.

·       Installez des mécanismes de chiffrement avant le démarrage sur les ordinateurs portables de l’entreprise pour les protéger en cas de perte ou de vol

·       Achetez des disques durs et des clés USB avec chiffrement intégré

·       Renforcez le chiffrement de votre réseau Wifi (en utilisant notamment la norme WPA2 avec chiffrement AES)

·       Protégez vos données des écoutes clandestines en chiffrant les communications Wifi via VPN (réseau privé virtuel)

7. Maintenez votre réseau au top de ses performances

Votre réseau et l’ensemble des composantes qui y sont connectés, devraient fonctionner comme une machine bien huilée. Une maintenance régulière permet de garantir des performances optimales et d’éviter tout ralentissement.

·       Vérifiez que les systèmes d’exploitation des ordinateurs portables et des serveurs sont à jour (Windows Update est activé sur tous les systèmes)

·       Désinstallez tout logiciel qui n’est pas nécessaire à votre activité pour éviter d’avoir à le mettre à jour régulièrement (Java, par exemple)

·       Mettez à jour les navigateurs et les applications Flash, Adobe et autres, sur vos serveurs et ordinateurs portables

·       Activez les mises à jour automatiques le cas échéant pour Windows, Chrome, Firefox, Adobe

·       Utilisez un système de prévention des intrusions (IPS) tel que l’Appliance Check Point 600 pour stopper les attaques sur les ordinateurs portables qui ne sont pas à jour

8. Faites preuve de prudence envers le Cloud

Le stockage et les applications dans le Cloud sont à la mode, mais comme vous le rappelle souvent datasecuritybreach.fr, soyez prudent. Tout contenu déplacé vers le Cloud échappe à votre contrôle. Les cybercriminels profitent des faiblesses de sécurité de certains fournisseurs de service.

·       Lorsque vous utilisez le Cloud, vous devez considérer que les contenus que vous y envoyez ne sont plus privés

·       Chiffrez les contenus avant de les envoyer (y compris les sauvegardes système)

·       Vérifiez la sécurité de votre fournisseur de service

·       N’utilisez pas le même mot de passe partout, en particulier ceux que vous utilisez pour le Cloud

9. Ne laissez pas l’administration aux soins de tous

Les ordinateurs portables sont accessibles via des comptes utilisateur et des comptes administrateur. L’accès administrateur donne plus de liberté aux utilisateurs et de contrôle sur leur ordinateur portable, mais ce contrôle est transféré aux cybercriminels lorsque le compte administrateur est piraté.

·       Ne laissez pas les employés utiliser Windows avec des privilèges administrateur dans le cadre de leur activité quotidienne.

·       L’utilisation d’un compte avec des droits utilisateur réduit la capacité des logiciels malveillants à provoquer des dégâts, comme ils pourraient le faire avec des privilèges administrateur.

·       Prenez l’habitude de changer les mots de passe par défaut sur tous les appareils, y compris les ordinateurs portables, les serveurs, les routeurs, les passerelles et les imprimantes réseau.

10. Maîtrisez l’utilisation des appareils personnels

Commencez par définir une politique d’utilisation des appareils personnels (BYOD). De nombreuses entreprises évitent le sujet, alors que datasecuritybreach.fr vous l’indique très souvent, c’est une tendance qui continue de se développer

. Ne faites par l’erreur d’ignorer ce sujet ! Sensibilisez plutôt vos utilisateurs.

·       Autorisez uniquement l’accès invité (Internet seulement) aux appareils appartenant aux employés

·       Verrouillez les appareils appartenant aux utilisateurs par mot de passe

·       Accédez aux données confidentielles uniquement à travers un VPN chiffré. Datasecuritybreach.fr vous conseille l’excellent VYPRVPN.

·       N’autorisez pas le stockage de données confidentielles sur des périphériques personnels (données des clients et de cartes de paiement notamment)

·       Prévoyez un plan d’action en cas de perte ou de vol d’un appareil personnel

Arnaque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Espionnae, Hacking, VPN

Des ordinateurs piégés lors d’un important tournoi de poker

4 commentaires

Que s’est-il passé lors lors de l’EPT de Barcelone. Au moins trois joueurs professionnels de poker, qui logeaient dans l’Hôtel ARTS ont vu leurs ordinateurs portables disparaitre, pu revenir dans la chambre de leurs propriétaires respectifs. Les victimes, Jens Kyllönen, Ignat Liviu et Aku Joentausta ont découvert qu’une personne avait tenté d’installer un logiciel espion dans leurs machines. DataSecurityBreach.fr vous rappelle que Kyllönen est l’un des plus importants joueurs de poker du web.

Ignat Liviu a expliqué sur le forum 2+2 sa mésaventure : « la même chose nous est arrivée à Ignat et moi, nos clés de chambre ne fonctionnait plus, nous descendons à la réception, lorsque nous sommes remontés nos ordinateurs avaient disparu. Le temps de retourner à la réception pour signaler le vol, remonter dans notre chambre, nos machines étaient miraculeusement réapparu. » Du côté de l’Hôtel, une enquête est en cours.

Que vous soyez joueur de poker ou non, dans un hôtel, un ordinateur portable n’a pas à trainer sur une table. Voici quelques trucs que DataSecurityBreach.fr utilise en déplacement :

– Ranger votre machine dans le coffre de votre chambre.

– Retirer la batterie. Ranger la prise électrique ailleurs, dans la chambre. Dans votre valise, fermée à clé par exemple. Comme nous vous le montrons, il existe des prises qui permettent d’être scindée en trois parties. De quoi retarder le pirate.

    

– Changer votre mot de passe de portable et mettez un mot de passe au bios de votre machine. Le mot de passe bios vous évitera la modification de lancement de votre machine, vers une clé USB ou CD boot casseur de mot de passe. [Voir comment cracker le mot de passe de n’importe quel Windows en 30 secondes].

– Chiffrer les informations sensibles ou le disque dur de votre ordinateur.

– Utiliser un câble antivol.

– N’hésitez pas à mettre un bout de scotch qui bloque les deux parties de votre portable. Si quelqu’un tente de l’ouvrir, vous le verrez. Un autocollant original et difficile à trouver dans le commerce fera parfaitement l’affaire.

– Nous prenons en photo les vis des disques durs de nos portables. Si ces dernières ont bougés, ont été déplacées, vous pourrez vous en rendre compte.

– Un antivirus mis à jour obligatoire.

– Utiliser un VPN pour vos connexions.

– Nous employons aussi une mini caméra de 5 cm qui s’enclenche dès lors qu’un mouvement dans la zone surveillée est détecté.

Si aucune de ces solutions proposées par zataz.com ne vous convient, gardez votre machine à vos côtés.

Ps : DataSecurityBreach.fr ne peut proposer l’url du forum américain 2+2 considéré comme interdit sur le territoire français par l’ARJEL. Ce forum propose des liens et des tournois de pokers vers des casinos illicites sur le territoire hexagonal.

Chiffrement, cryptage, Cybersécurité, Fuite de données, Leak, Vie privée

Piratage informatique : plus de 60 millions de données personnelles divulguées en 2 ans

Un commentaire

Les actes de piratage informatique ont entraîné des fuites concernant plus de 63 millions de données personnelles en 2011 et 2012, a révélé le député du Parti démocrate (PD) Choi Jae-cheon après avoir analysé des données de la Commission coréenne des commissions (KCC) et de l’Agence de supervision financière (FSS). La plupart de ces fuites se sont produites dans le secteur non financier (61,48 mlns) et le reste dans le secteur financier (1,9 mln).

SK Communications Co., l’opérateur des sites populaires Nate et Cyworld qui ont fait l’objet d’un piratage massif l’année dernière, a affiché le plus grand nombre de fuites de données personnelles (35 mlns), devant Nexon Korea Corp., société de jeux en ligne (13 mlns), et KT Corp, le deuxième opérateur de téléphonie mobile (8,73). Dans le secteur financier, plus de 1,75 million d’informations personnelles ont été divulguées suite à un piratage informatique contre Hyundai Capital. Les attaques informatiques qui ont visé les sites Internet de ces sociétés ont été à l’origine de la majorité des fuites d’informations.

Les erreurs de programme ont été également l’une des causes principales de ces déperditions. «La discrétion excessive des entreprises face aux piratages informatiques augmente les dégâts», a noté Choi, appelant à une déclaration rapide auprès des autorités en cas d’accident pour réduire les dégâts causé par ces cyberattaques. Le député a de même exhorté les autorités de supervision à mener des enquêtes complètes pour éviter de nouveaux piratages et à renforcer les sanctions contre les fuites de données personnelles. Choi a récemment proposé une révision de la loi sur les réseaux d’information et de communication en vertu de laquelle tout piratage informatique doit être déclaré dans les 24 heures qui suivent l’incident sous peine d’amende. 63 millions connues. Zataz.com vous laisse imaginer le reste ! (Yonhap)

Chiffrement, cryptage, Entreprise, Fuite de données, Sauvegarde

Disques enregistrables cryptés : EncryptDisc

DataLocker Inc, un des leader en matière de développement de solutions de stockages cryptées, a annoncé aujourd’hui à DataSecurityBreach.fr sa gamme de CD et DVD cryptés enregistrables qui sera commercialisée sous la marque EncryptDisc. La ligne EncryptDisc,   anciennement connue sous le nom SecureDisk, offre un système de chiffrement FIPS 140-2 validé AES 256 bit directement intégré au CD ou DVD.

DataLocker EncryptDisc permet maintenant à DataLocker de protéger les données où qu’elles soient, sous n’importe quelle forme. Les CD et DVD DataLocker EncryptDisc combinent des fonctionnalités de gravage et de sécurisation des données, une solution simple et efficace de stocker des données en toute sécurité. Il n’y a pas de logiciel à installer et aucun besoin de faire appel à une solution logicielle tierce. DataLocker EncryptDisc est disponible chez Ingram et Amazon (SecureDisk).

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données

Intercepter les données du dossier public de DropBox… facile

6 commentaires

Le dossier Public de DropBox, un peu trop libre pour les personnes non autorisées à le consulter. Dropbox est une société bien connue spécialisée dans les solutions de cloud computing. La société annonce des centaines de millions d’utilisateurs, avec des pétaoctets de données stockées. Aujourd’hui, beaucoup utilisent Dropbox pour partager quoi que ce soit en famille ou entre amis. Cet usage semble parfaitement raisonnable si les données partagées ne sont pas sensibles, mais Dropbox est aujourd’hui aussi largement utilisé par les entreprises. DropBox remplace même parfois le service de Backup ou autres moyens de partager des fichiers entre collègues. Il parait que cela permet d’économiser de l’espace disque, du temps. Mais côté confidentialité, il faudra repasser, surtout si vous utilisez le dossier « Public ».

Notre ami Jean-Pierre Lesueur (DarkCoderSc) vient de nous montrer comment les fichiers DropBox dans le dossier « Public », normalement sécurisés et non accessibles aux personnes non autorisées, sont en fait parfaitement libres d’être consultés par des personnes extérieures. Pour cela, rien de plus simple. Il faut posséder un compte DropBox valide, une petite application python du nom de wfuzz et … c’est tout.

L’outil va égrener les noms de fichiers qui peuvent se trouver dans le dossier Public d’un compte DropBox ciblé. Bref, arrêtez de penser que le dossier « Public » n’est pas accessible aux personnes non autorisées. Démonstration en vidéo, ci-dessous.

Chiffrement, Cyber-attaque, Cybersécurité, Justice, Leak, Vie privée

Perte ou vol de données sur internet : une meilleure protection des consommateurs

A compter du 25 août 2013, le règlement européen n° 611/2013 met en place une procédure d’information en cas de piratage de données d’un opérateur de services de télécommunications ou d’un fournisseur de services internet permettant à un tiers d’accéder à des données à caractère personnel (nom, adresse ou coordonnées bancaires par exemple).

Cette procédure comprend 3 obligations à la charge du professionnel :

  • La notification des faits auprès de la Commission nationale informatique et libertés (CNIL) dans un délai de 24 heures après leur constatation (avec un document normalisé et identique pour tous les membres de l’Union européenne),
  • La fourniture d’une description des données concernées et des mesures déjà prises ou qui seront prises,
  • Une évaluation de la nécessité d’informer ou non les abonnés, en fonction du type de données ayant fait l’objet d’une violation.

Une liste indicative de mesures techniques de protection à mettre en œuvre (techniques de cryptage par exemple) sera publiée ultérieurement par la Commission européenne. Pour en savoir plus, DataSecurityBreach.fr vous invite à vous lire le Règlement n° 611/2013 de la Commission européenne du 24 juin 2013 du journal officiel de l’Union européenne.